新披露的Linux内核漏洞（CVE-2026-46333）对SSH私钥及其他敏感凭证构成严重威胁。
该漏洞自2016年起存在于内核中，可使本地攻击者在许多主流Linux发行版中从基础shell账户提升至完整root权限。
九年漏洞隐患问题源于Linux内核检查进程是否允许通过ptrace机制检测或"跟踪"其他进程的方式。在特定条件下，正在放弃特权的特权进程仍存在短暂可访问窗口，尽管此时本不应再允许被跟踪。
攻击者可利用这一微小时序窗口，结合系统调用pidfd_getfd，从该特权进程中获取已打开的文件描述符。实际上，这意味着他们能窃取通常仅属于root的文件和通信通道访问权限。
Qualys研究人员证实，该漏洞可针对多个默认系统二进制文件进行利用，包括处理SSH主机密钥操作的ssh-keysign。通过攻击该二进制文件，拥有任意本地shell的攻击者可读取/etc/ssh/目录下的SSH主机私钥文件。
若这些主机密钥被窃取，攻击者可在中间人攻击中冒充受影响服务器，或在其他部署环境中复用这些密钥。这将问题从"仅限本地"的漏洞升级为可能影响基础设施中远程信任关系的隐患。
相同技术还可暴露/etc/shadow密码哈希，或通过其他特权二进制文件和守护进程实现以root身份执行任意命令。
该漏洞自Linux主线版本4.10-rc1（2016年11月）起存在，影响范围广泛。Qualys已确认在Debian 13、Ubuntu 24.04和26.04、Fedora 43和44的默认安装（含服务器及桌面/工作站版本）中存在可利用路径。
由于这是纯本地漏洞，攻击者需在主机上拥有shell或代码执行权限。但在实际环境中，这可能表现为：
- 通过钓鱼获取的具有SSH访问权限的开发人员账户
- 有限权限的CI/CD运行器或构建代理
- 低权限服务账户
- 共享或多租户主机及容器平台上的用户
在此类场景中，"未授权访问"与"完全root入侵"之间的界限将实质性消失。
Linux内核开发者已发布上游修复方案，主要发行版均已推送更新内核。管理员应：
- 从所属发行版安装最新内核软件包
- 重启系统以使新内核生效
- 假设在不受信任用户曾访问过的系统上，SSH主机密钥和本地凭证可能已暴露，并轮换这些密钥和密码
对于无法立即修补的环境，临时缓解措施是设置kernel.yama.ptrace_scope = 2。此配置将ptrace附加操作限制为仅管理员可用，可阻断已知攻击路径。但会影响gdb和strace等调试工具，以及容器和崩溃报告工作流程。
CVE-2026-46333提醒我们，长期存在的内核逻辑漏洞可能在数年内悄然破坏安全性。即使漏洞"仅限本地"，现代多租户架构、开发人员访问权限以及ptrace等强大原语的组合，仍可能使其演变为影响整个基础设施的关键风险。
本公众号所载文章为本公众号原创或根据网络搜索下载编辑整理，文章版权归原作者所有，仅供读者学习、参考，禁止用于商业用途。因转载众多，无法找到真正来源，如标错来源，或对于文中所使用的图片、文字、链接中所包含的软件/资料等，如有侵权，请跟我们联系删除，谢谢！
